訪談：Tong，PANews

編輯：Yuliya，PANews

7月12日，一場意外的駭客攻擊，讓Pundi AI在短短幾分鐘內被異常增發100萬枚代幣。面對這場危機，團隊選擇先凍結、追蹤、追回資產，並在確保資金安全的第一時間公開揭露。最後成功追回並凍結近九成被盜資金，墊付超百萬美元完成了全額用戶賠償。而駭客所利用的 ERC1967Proxy合約的漏洞，目前已經影響了多個業內專案。但Pundi AI卻因此被Upbit、Bithumb等5大交易所組成的韓國數位資產交易所協會（DAXA）通知在韓國交易所下架，原因是「資訊揭露不及時」。

為了幫助讀者更理解事件脈絡，以下為關鍵時間軸回顧。

• 3月2日 — Function X宣布品牌重塑為PUNDIAI與代幣置換為潛伏代幣

• 7月12日 —駭客正式發動攻擊，異常增發100萬枚代幣；當日凍結轉帳並啟動追蹤；當日晚上CEO向社區公開合約遇到漏洞，公佈了已經採取的處理方式。

• 7月14日 — 向交易所全面披露攻擊事件調查結果和解決方案，並與DAXA展開溝通。

• 7月28日 — Upbit、Bithumb宣布將於8月28日下架PundiAI，理由為「資訊揭露不及時」。

• 7月31日 — 官方聲明追回80%資產，11天內完成全額用戶賠償。

在本期訪談中，PANews獨家對話了Pundi AI聯合創始人Danny Lim，完整複盤整個事件過程，為行業內其他進行代幣遷移的項目進行安全提醒，也為在韓國合規交易所上市的項目進行操作規範提醒。同時，他也從產業視角探討Pundi AI在AI資料領域的產品佈局，以及對目前Web3 AI賽道發展的思考。

此外，他也提出了一個兩難的選擇題，在與黑客鬥智斗勇的過程中，是不驚動黑客優先確保用戶資金安全？還是保持透明度優先，第一時間向公開訊息，但可能讓駭客加速資金轉移從而擴大受損金額？ 這次Pundi AI選擇了前者，但也因透明度的「瑕疵」而承受了選擇的代價。

塞翁失馬焉知非福，Danny戲稱被合規交易所下架反而為項目發展解開了“封印”，過去不能隨便回購或銷毀代幣，需要徵得交易所同意。現在可以更靈活地運用代幣經濟學來回饋社區。 Pundi AI也將回購代幣，並向用戶進行空投，「感謝他們在危難時刻依然選擇與我們站在一起」。

被竊、下架與艱難抉擇

PANews：近日看到公告，韓國數位資產交易所協會（DAXA）要求成員下架Pundi代幣，起因是Pundi AI在代幣遷移過程中被盜，並且未及時披露，可以詳細說明下事情的經過嗎？

Danny：安全事件發生在7月12日下午2點20分左右，我們的系統在2:40左右預警，提示有異常鑄造，大概100萬個PUNDI代幣被鑄造。 起初我們以為是合約出了Bug，當時正好是星期六，我們緊急聯絡技術團隊進行核查。

到下午五點，我們確認這不是Bug，而是攻擊。我們立刻聯絡了各大交易所，要求暫停PUNDIAI的儲值和提現功能。

整個攻擊過程非常精巧。駭客利用了我們代幣遷移合約的一個漏洞。在我們2月份部署新合約的交易中，駭客在同一個區塊內，提交了一筆Gas費比我們更高的交易，搶先調用並取得了我們合約的管理員權限（admin key）。這個手法非常精準，需要精確計算我們發交易的時機和區塊。

PANews：這個安全漏洞潛在影響多少協議？你們是否採取措施，對其他機構進行了提醒？

Danny：這是一個很隱密的漏洞，我們在2月完成換幣，直到7月攻擊發生時才暴露出來。近期我們也看到，在Base鍊和以太坊上，有好幾個項目都在最近三四周內被類似的手法攻擊了。駭客非常有耐心，往往會潛伏數月，等到市場回升、專案熱度起來之後再動手。所以我們這次公開事件的詳細經過，也算是用自己的教訓給所有同行，尤其是有計劃做代幣遷移或合約升級的專案方敲響了警鐘，一定要注意這種「搶跑攻擊」的潛在安全風險。

PANews：你們在發現被偷後做了哪些措施，是否與社區公開？

Danny：考慮到駭客並沒有立即將所有增發的代幣拋售變現，而是緩慢地變現，我們判斷駭客可能還沒意識到我們已經發現資金被盜。 為了能最大可能地追回資產，我們做出了一個艱難的決定：避免打草驚蛇，悄悄地追踪並凍結資產，在資產得到保護後，7月12日當晚就在推特上公告我們的合約遇到了問題，並公開了我們的處理方案。

這個策略效果很顯著。我們成功在以太坊和我們自己的主網路F(x)Core上攔截了大約95%的被盜資產。 主要的損失發生在BSC鏈上，因為我們透過Axelar跨鏈橋與BSC連接，而當時是週末，第三方服務商的響應有所延遲。對於PancakeSwap和我們自有DEX上因砸盤而受損的用戶，我們都以公允價格進行了回購補償，確保用戶沒有損失。

總的來說，這次攻擊導致了以當時市價約600多萬美元的代幣被增發，我們透過凍結和追繳，最終成功挽回了約87%的資產，最終我們決定自己承擔近200萬美元的損失。我們在Token合約裡設定了單次增發的上限，否則損失可能會更多。

PANews：被盜只涉及代幣，對產品層面有什麼影響嗎？

Danny：有一點影響。因為我們有一個溝通以太坊、BSC和F(x)Core的跨鏈橋，為了防止類似事件再次發生，我們對Token合約進行了升級。所以對跨鏈橋功能有一定影響，但整體的產品層面是還好，沒有受到大的衝擊。

PANews：你們是否和DAXA進行了溝通？你們認為這種直接下架的處理方式是否欠妥，或是有怎樣的經驗教訓？

Danny：我們和DAXA進行了大量溝通。 他們在7月14日發郵件，我們前後回了三、四封。在整個溝通過程中，他們並沒有表現出責怪的意思，也沒有提出任何具體的整改要求，只是不斷地詢問技術細節、解決方案和用戶補償情況。所以我們當時感覺問題不大，認為我們已經追回了大部分資金、補償了所有用戶損失、並且自擔虧損，應該能過關。 但沒想到在本週一，就直接收到了下架的通知。 DAXA並未給出具體理由，根據交易所公告下架原因是“披露不及時”，沒有給我們任何辯解或緩衝的餘地。

從我們的角度講，我們當然覺得很可惜，甚至有些「心寒」。我們是一個真正在做事的團隊，在被駭客攻擊後，我們花自己的錢補償用戶損失，盡力追回資產。但最終等來的卻是這樣的結果。尤其是相較於最近GMX的駭客事件，他們安然過關，而我們卻被下架。

但從DAXA的立場來看，他們維護的是整個市場的透明和公開原則，他們的做法也無可厚非。我們確實在程式上有瑕疵。

最大的教訓是：在韓國市場，資訊的及時性、透明度比任何事情都重要。 這是一個慘痛的教訓，在「悄悄追回資產」和「第一時間公開」之間，我們沒有做好平衡。 希望給所有在韓國上線或計劃在韓國上線的項目方一個警示。

PANews： 交易所下架可能會對你們的聲譽造成影響？

Danny： 是的，這是我們最擔心的。 下架本身帶來的交易損失是其次，更痛苦的是對我們聲譽的損害。 很多人不會去深究背後的原因，他們只會看到“Pundi AI被DAXA下架了”，然後給我們貼上“壞公司”或“騙子”的標籤。這讓我們多年的努力和信譽受到了誤解。

韓國市場的困境與未來規劃

PANews：Pundi AI是什麼時候上線的韓國交易所？在韓國市場累積了多少用戶？

Danny：我們在韓國市場很久了。前身Function X（FX）在2019年就上線了Bithumb，2020年上線了Upbit。我們在韓國耕耘了五、六年，至少有二、三十萬，甚至可能超過四十萬的用戶。

PANews：韓國目前泡菜溢價顯著，尤其是在部分山寨幣市場。你們對韓國市場有怎樣的觀察？還會想辦法重新上線韓國交易所嗎？

Danny：韓國市場比較獨特。使用者非常依賴CEX進行交易，對DeFi或鏈上操作的接受度普遍不高。 我們大約80%的交易量、70%的可交易代幣都在韓國的CEX裡。所以這次下架對我們的流動影響是巨大的。

至於重新上線，我們問了一圈，得到的回饋都認為難度極大。 DAXA的決定在韓國具有權威性，一旦做出，很難在短期內逆轉。但我們仍在與DAXA和各大交易所積極溝通，希望能夠獲得他們的信任，重新回歸韓國市場。

但有一點讓我們非常欣慰和感動。在下架公告出來後，我們的幣價並沒有像其他項目那樣暴跌，基本上保持穩定。 這說明我們的社區，我們的持幣用戶，依然相信我們。這也是我們感到最心酸的地方，一方面覺得不能辜負這份信任，另一方面又苦於無法提供他們方便的交易管道。

PANews：後續有什麼針對社區的計畫嗎？

Danny：我們現在有三個核心計畫。

• 第一，既然韓國中心化交易所的路暫時難走，我們會加大在鏈上，也就是去中心化交易所的投入。 我們自己會出錢，在PancakeSwap、Uniswap等平台建立更深厚的資金池，為用戶提供充足的流動性。

• 第二，我們會大力推廣我們全新的AI數據產品。我們相信，好的產品是專案發展的核心驅動力。

• 第三，我們會發布一個代幣回購和空投計畫。說實話，過去在韓國合規的中心化交易所上線，手腳是被束縛的，你不能隨便回購或銷毀代幣，需要徵得他們同意。現在，可以說我們“解開了封印”，可以更靈活地運用代幣經濟學來回饋社區。 我們會回購代幣，並向支持我們的用戶進行空投，感謝他們在危難時刻依然選擇和我們站在一起。

AI資料資產化的願景與挑戰

PANews：您提到了全新的AI數據產品，可以詳細介紹一下這個產品和接下來的規劃嗎？

Danny：其實我們的新產品Data Pump已經做好了，並且在7月10號就已經軟上線了，非常巧合的是，我們12號就被攻擊了，導致完全沒有來得及宣傳。

Data Pump可以理解為一個「AI資料集的Launchpad」。 這個產品結合了類似Pump.fun的機制，但底層資產不是meme幣，而是資料集。它旨在將數據代幣化（DataFi），用戶可以將各種內容數據（推文、音頻、視頻等）打包成NFT，然後，他們可以在我們的平台上抵押這個NFT，生成對應的代幣，並直接在PancakeSwap這樣的DEX裡創建交易對進行交易。接下來我們所有的重心，都會放在這款產品的推廣和營運上。